Если на сайте стоит Request a Quote for WooCommerce не выше 2.9.2 и включено публичное правило заявки с многостраничным попапом, чужой человек может положить исполняемый файл в веб-доступный каталог котировок. Патча Wordfence не указывает. Страницы в каталоге wordpress.org нет, обновление из репозитория эту дыру не закроет.
26 сентября таких дыр три. Первым смотрите slug woocommerce-request-a-quote: закрывающей сборки нет. Рядом из каталога miniOrange OTP по 5.5.5 и Ultra Addons for Contact Form 7 по 3.5.50. Нет папки в wp plugin list: эта строка вас не касается.
- Request a Quote for WooCommerce, slug
woocommerce-request-a-quote. В wordpress.org страница 404. CVE-2026-18143. Без логина, файл в каталог заявок при публичном попапе. По 2.9.2. Патча нет. Кабинет WooCommerce.com, неwp plugin update. - miniOrange OTP Login, Verification and SMS Notifications, slug
miniorange-otp-verification, CVE-2026-85984. Без логина в чужую учётку администратора, если разом включены WP Login OTP, Login with Only OTP, Allow Users to Login with Username and Password и Admin OTP Bypass. По 5.5.5. Патч 5.5.6. - Ultra Addons for Contact Form 7, slug
ultimate-addons-for-contact-form-7, CVE-2026-82901. Файл без входа, только с модулем PDF Generator (по описанию выключен). По 3.5.50. Патч 3.5.51, в каталоге 3.5.52. Около 60 тысяч установок.
Request a Quote, slug woocommerce-request-a-quote
Wordfence держит сборки по 2.9.2 открытыми. В попапе не проверяют расширение и MIME, имя файла с запроса ложится на диск как есть. Публичного многостраничного правила нет: этот путь молчит. Правило включено: выключайте сегодня, не в понедельник, пока в кабинете WooCommerce не появится новая сборка. CVSS 9.8, без входа.
Перед обновлением на проде снимите бэкап базы и wp-content. Два каталожных slug поднимайте, даже если опции OTP или PDF Generator выключены. Request a Quote в команду update не ставьте: репозиторий его не отдаёт.
wp plugin list --fields=name,status,version | grep -Ei 'woocommerce-request-a-quote|miniorange-otp-verification|ultimate-addons-for-contact-form-7' wp plugin get miniorange-otp-verification --field=version wp plugin get ultimate-addons-for-contact-form-7 --field=version wp plugin update miniorange-otp-verification ultimate-addons-for-contact-form-7